Dotaz: Blokovani IP

[Bafik]

Potřebuji blokovat všechny IP adresy na všech portech kromě pár požadovaných IP, které budou mí přístup k tomuto pc. Nevím jak přesně nastavit Firewall. Používám SUSE 10.0

Odpovědi

[ZAH]

Začít standartně zakázat vše.

# Implicitni politikou je zahazovat nepovolene pakety
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP

Povolit služby a adresy

# Pravidla pro povolene sluzby z adres
$IPTABLES -A INPUT -s $INET_IFACE -p TCP --dport 21 -j ACCEPT  #FTP
$IPTABLES -A INPUT -s $INET_IFACE -p TCP --dport 22 -j ACCEPT  #SSH
# Loopback neni radno omezovat
$IPTABLES -A INPUT -i $LO_IFACE -j ACCEPT

Nakonec povolíme vystup

# Povolime odchozi pakety, ktere maji nase IP adresy
$IPTABLES -A OUTPUT -s $LO_IP -j ACCEPT
$IPTABLES -A OUTPUT -s $LAN1_IP -j ACCEPT

Pozor jde pouze o návod příkladů už tu bylo mnoho tak si některý upravte.

[ZAH]

Omlouvám se místo $INET_IFACE mělo být $INET_IP adresa cizího počítače v internetu.

[DjAARA]

+- shanite neco jako:

iptables -P INPUT DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INTPUT -s IP -m state --state NEW -j ACCEPT
iptables -A OUTPUT -m state --state NEW -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

[Michal Kubeček]

  iptables -A OUTPUT -m state --state NEW -j ACCEPT
  ...
  iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Nebylo by jednodušší povolit rovnou všechno?